ChatGPT 4

ChatGPT è un’intelligenza artificiale sviluppata da OpenAi, specializzata nelle conversazioni con utenti umani. E’ di particolare interesse per le aziende, in particolare per velocizzare l’esecuzione di analisi complesse (come ad esempio i linguaggi di programmazione). Attualmente la versione 4 è a pagamento, mentre la molto meno potente 3.5 è disponibile per la prova gratuita.

La truffa

L’interesse per la versione 4 a quanto pare è tale da spingere alcuni malintenzionati a “pubblicizzare” il proprio malware come ChatGPT 4 gratis.

Le campagne pubblicitarie

Sono infatti comparse diverse campagne pubblicitarie di Facebook e Google che pubblicizzano una fantomatica estensione per Google Chrome di ChatGPT4, completamente gratuita.

Il malware

Inutile dirlo, le pubblicità portano a scaricare un malware, il quale prende il controllo dei cookie di Facebook, tracciando l’utente e prendendo il controllo del suo account Facebook.

Le contromisure

Basta un semplice antivirus per rilevare il file come dannoso e bloccarne il download (uno dei tanti motivi per cui è sempre bene avere un antivirus, anche su Mac). In generale tuttavia è sempre bene diffidare di qualcosa che promette di fornire gratis un prodotto normalmente a pagamento.

“Lockdown files”

“Lockdown files” è il nome giornalisticamente assegnato a uno scandalo che ha investito l’ex ministro della Salute britannico Matt Hancock, originato dalla pubblicazione di alcuni suoi messaggi WhatsApp fra il 2020 e il 2021 sul quotidiano The Telegraph.

La domanda

Al di là degli aspetti politici e giornalistici della vicenda, com’è possibile che i messaggi privati di Hancock siano stati pubblicati? 

Crittografia end-to-end

WhatsApp è infatti protetto dalla crittografia end-to-end (come peraltro viene notificato all’inizio di ogni conversazione), ovvero i contenuti di ogni conversazione vengono criptati per chiunque non sia mittente e destinatario, rendendoli fisicamente non disponibile perfino alla stessa Meta.

Data breach?

Com’è quindi stato possibile che i messaggi dell’ex ministro venissero messi a disposizione della stampa? Per quanto possa sembrare sospetto, non si è trattato di un data breach, né di una tecnica di hacking, né di qualsiasi comportamento “scorretto” o negligente attribuibile a Meta.

La soluzione

Infatti è stato lo stesso Hancock ad affidare le sue conversazioni a una giornalista, con lo scopo di realizzare una biografia a proposito del periodo pandemico. E’ stata la stessa giornalista a condividere i dati con il Telegraph, violando l’accordo di riservatezza siglato con l’ex ministro.

Il fattore umano

Questa vicenda ci ricorda quindi che non sempre le fughe di dati hanno cause “tecnologiche” o comunque legate al mezzo con cui vengono trasmessi. In questo caso la crittografia end-to-end ha effettivamente garantito che le conversazioni fossero condivise solo da mittente e destinatario, ma è stato lo stesso mittente ad affidarle a una persona che le ha divulgate.

L’indagine.

Nel rapporto trimestrale sulla diffusione degli attacchi di phishing relativo al terzo trimestre del 2021, Check Point Research ha stilato la classifica dei marchi più “contraffatti” dai criminali informatici che elaborano le famigerate “mail con i link malevoli da cliccare”.

Microsoft.

Il poco invidiabile primato di “marchio più taroccato” è andato a Microsoft, che guida la classifica con il 29% delle mail di phishing che pretendono di provenire dalla casa di Redmond. Probabilmente complice di questo risultato è l’estrema diffusione del sistema operativo Windows e dei software della suite Office, nonché del provider mail Outlook.

Amazon.

La seconda posizione va al colosso dell’e-commerce Amazon, seppur fermandosi al 13% (meno della metà di Microsoft). La popolarità del colosso di Jeff Bezos, ormai non più solo e-commerce (basti pensare a servizi come Prime Video o Twitch) fa sì che le false promozioni di Amazon siano fra le mail di phishing più gettonate.

E-commerce.

In generale, dopo l’incredibile boom del periodo pandemico, i marchi di e-commerce e derivati sembrano molto gettonati, come dimostra il terzo posto del servizio corriere DHL (9%) e il quarto di Best Buy (8%). Legato a questo fenomeno è anche il nono posto di PayPal (2,3%).

Google.

“Misero” quinto posto di Google, con il 6% dei messaggi che tenta di imitare il suo marchio. Big G è altresì vittima di un curioso fenomeno per cui molte delle false mail di Google pretendono di essere avvisi di sicurezza, chiedendo all’ignaro utente di cliccare un link proprio per meglio proteggere i suoi dati.

Social.

Completano la classifica, seppur molto staccati dalle posizioni di testa, social network, intrattenimento e messaggistica: si va dal 3% di WhatsApp (sesto posto) al 2,2% di Facebook (decimo), passando per Netflix (2,6%) e Linkedin (2,5%).

Il disservizio.

A distanza di qualche giorno, si è fatto più chiaro il quadro del disservizio che ha reso l’intera rete del gruppo Facebook inaccessibile per sei ore (compreso quindi Instagram, WhatsApp e tutte le funzioni ad essi collegate) nella giornata del 4 ottobre.

Errore umano.

Il particolare più rassicurante è che non si è trattato di un attacco hacker, ma “semplicemente” di un errore umano. Non si è dunque verificata alcuna fuga di dati, personali o meno.

BGP.

Durante un aggiornamento interno, infatti, è stato commesso un errore di configurazione che ha reso inaccessibili da remoto i computer responsabili del BGP, ovvero l'”instradamento” dei dati verso gli indirizzi IP corretti.

Strada perduta.

In questo modo i dati destinati a Facebook non riuscivano a “trovare la strada”, causando il mancato funzionamento del servizio (che fosse lo stesso Facebook, i servizi ad esso correlati come il login con Facebook, WhatsApp o Instagram).

Una soluzione molto difficile.

L’unica possibilità di correggere l’errore è stata a questo punto l’intervento fisico sui data center Facebook, reso ancora più difficile dal fatto che gli stessi ospitano anche le comunicazioni interne dell’azienda (mail aziendali, sistemi “smart”, protocolli di sicurezza e molto altro…).

Reazione a catena.

La situazione ha messo in difficoltà anche servizi di terze parti non coinvolte come Twitter, Netflix e Disney+ a causa del picco di traffico dovuto alle mancate connessioni ai servizi del gruppo Facebook.

La soluzione.

Fortunatamente il gruppo Facebook è riuscito a risolvere la situazione nel giro di 6 ore, ripristinando il regolare funzionamento dei suoi servizi.

Aggiornamento.

Avevamo già parlato del discusso cambiamento alle privacy policy di WhatsApp, inizialmente previsto per l’8 febbraio e poi spostato al 15 maggio. Nonostante la data in questione sia ormai alle spalle, ci sono novità sia sul fronte dell’aggiornamento in sé che in quello delle funzionalità di WhatsApp (e di riflesso, sulla lotta con le app competitor).

Rifiutare le condizioni.

Per quanto riguarda l’aggiornamento, WhatsApp ha infatti annunciato che chi rifiuta le nuove condizioni potrà continuare ad usare l’app senza alcuna limitazione, mentre in precedenza si parlava di limitazioni via via sempre più stringenti fino all’esclusione.

Piani futuri.

E’ bene sottolineare come il gruppo Facebook abbia specificato che al momento non ci sono piani per limitare le funzioni, non specificando quindi se si tratta di una decisione definitiva o di una soluzione momentanea.

Quattro dispositivi.

Sul fronte delle nuove funzionalità, WhatsApp ha inoltre annunciato che a breve debutteranno due nuove funzioni finora adottate solo da alcune app concorrenti. Innanzi tutto diverrà possibile installare e usare WhatsApp su un massimo di quattro dispositivi contemporaneamente, anche diversi (per esempio smartphone e tablet). Sarà quindi possibile, ad esempio, continuare una conversazione sul tablet se il proprio smartphone non ha più batteria, senza necessariamente ricorrere a WhatsApp Web.

Messaggi effimeri.

In arrivo su WhatsApp anche una delle funzionalità più apprezzate del rivale Telegram, ovvero i messaggi effimeri, pensati per svanire senza lasciare traccia dopo un periodo di tempo deciso che chi li invia.

I contenuti crittografati.

Chi usa WhatsApp probabilmente sa che i contenuti delle chat sono protetti da crittografia end-to-end, in modo che siano fruibili solo da mittente e destinatario. Lo stesso però non si può dire dello stato online (se il contatto in questione è appunto online o offline), del classico avviso “sta scrivendo…”, dell’orario di ultimo accesso e delle conferme di lettura.

I contenuti non nascondibili.

Del resto le FAQ di WhatsApp dicono chiaramente che l’utente finale non ha la possibilità di nascondere il proprio stato online o le varie notifiche “Sta scrivendo…”. Allo stesso modo non è possibile nascondere i dati relativi all’ultimo accesso o le conferme di lettura (le famose “spunte blu”).

Le conseguenze.

Purtroppo, come spesso succede su internet, se è impossibile nascondere determinati dati aumenta la possibilità che qualcuno li raccolga a fini malevoli. Ed è esattamente ciò che succede in questo caso: alcuni siti esterni, non legati in alcun modo a Facebook, permettono di analizzare i dati di WhatsApp che non è possibile nascondere.

Cyberstalking.

Tecnicamente questo fenomeno si chiama cyberstalking. Questi siti permettono in effetti di “stalkerare” i profili WhatsApp in questione, restituendo una cronologia precisa dei momenti di attività necessitando del solo numero di cellulare come input. Non è tutto qui: questi “servizi” (a cui non intendiamo far pubblicità per evidenti motivi) offrono anche un’intelligenza artificiale in grado di fare controllo incrociati sull’attività di più numeri, indicando con quanta probabilità stanno chattando fra loro.

La ricerca.

Il giornalista Paolo Attivissimo ( http://disinformatico.info ) ha messo alla prova uno di questi siti (link), notando una capacità di analisi impressionante relativamente al singolo numero: il sistema era effettivamente in grado di sapere quando fosse online e quando stesse scrivendo. Un po’ meno preciso è risultato nell’analisi delle possibili interazioni fra contatti diversi, non a caso il “servizio” parla di probabilità che i due numeri stiano effettivamente scambiando messaggi su WhatsApp.

Data breach.

I dati di 533 milioni di account Facebook sono stati violati e resi pubblici via internet, fra cui 36 milioni di account italiani (un dato impressionante se si considera che la popolazione totale italiana si aggira sui 60 milioni, pur considerando account multipli e aziendali).

Numeri di telefono.

La notizia è tanto più grave quanto più la maggior parte dei dati trafugati riguarda i numeri di telefono degli account in questione, spesso e volentieri associati e nome e cognome del proprietario (a volte accompagnati anche da email, residenza, status e altre informazioni personali). Fra i numeri di telefono violati anche quelli di personalità conosciute a livello mondiale come Donald Trump e, ironicamente, lo stesso Mark Zuckerberg.

Sono stato colpito?

Per verificare se il numero di telefono personale rientra fra quelli trafugati si può usare il sito http://Haveibeenpwned.com (attivo dal 2013 e strumento di monitoraggio dei data breach ben conosciuto). Basterà inserire il proprio numero di telefono preceduto da un “39” (prefisso internazionale dell’Italia, non serve il +) per verificare se il proprio numero rientra fra quelli trafugati.

Perché ora?

In caso negativo si può tirare un sospiro di sollievo: la vulnerabilità che ha consentito la fuga di questi dati è stata infatti risolta nel settembre 2019. Questo significa ovviamente che i dati personali degli utenti colpiti circolano in rete da poco meno di due anni. Se ne parla oggi perché, se fino ad ora i dati erano circolati in maniera relativamente limitata a causa delle alte cifre che venivano chieste per diffonderli, ora sono disponibili a prezzi molto più bassi (se non addirittura gratis). E questo ha aiutato a far luce sulle dimensioni del data breach.

Scraping.

Ma come sono stati sottratti così tanti dati? In realtà il meccanismo di scraping, così viene definito, è piuttosto semplice concettualmente: “basta” un algoritmo che calcoli tutti i numeri di telefono possibili, attivando quindi la ricerca amici tramite numero di telefono per ottenerne nomi e cognomi.

Cosa fare?

Se il proprio numero risulta “trafugato”, cosa si può fare? Purtroppo assolutamente nulla, se non considerarlo di possibile dominio pubblico o, nel caso limite, cambiar numero. I dati sono stati trafugati molto tempo fa e sono disponibili attraverso diversi canali illegali, anche rimuovere totalmente i propri dati o cancellare l’account Facebook non migliorerà la situazione.

Autenticazione a due fattori.

Per coloro che avessero paradossalmente affidato a Facebook il proprio numero proprio per ragioni di sicurezza, nell’ambito dell’autenticazione a due fattori, consigliamo di cambiare il metodo di autenticazione da SMS a codice generato da un’apposita app di sicurezza (come Google Authenticator). Se la violazione non fosse già avvenuta, è un ottimo modo per prevenire eventuali futuri casi analoghi.

Informativa sulla privacy

L’aggiornamento dell’informativa sulla privacy è un procedimento del tutto normale per una qualsiasi app, essendo legalmente vincolata a notificare qualsiasi variazione nel trattamento dei dati forniti (direttamente o indirettamente) dall’utente. La maggior parte di questi aggiornamenti vengono notificati e prontamente accettati dall’utente senza troppa preoccupazione, in generale con un livello di interesse piuttosto basso.

La controversia

La variazione notificata da WhatsApp nel mese di gennaio ha invece suscitato attenzione, perplessità e in certi casi aperta polemica da parte di molti utenti, tanto da far rimandare l’effettiva entrata in vigore delle modifiche dall’8 febbraio al 15 maggio.

Elon Musk

Su tutte è da segnalare l’aperta protesta di Elon Musk (fondatore di PayPal, Tesla e SpaceX) che con un tweet ha apertamente invitato ad usare Signal, uno dei principali competitor di WhatsApp. Ma in cosa consistono queste novità così controverse?

Approvare o disinstallare

Parte della controversia è dovuta al fatto che non è possibile continuare ad usare WhatsApp senza accettare le nuove condizioni. Certo, al momento è possibile posticipare, ma dal 15 maggio non si potrà più usare WhatsApp senza accettare le nuove condizioni.

GDPR

Prima di addentrarci in merito è necessaria una doverosa premessa: i cambiamenti in Europa (UE e altri stati che WhatsApp considera nella “regione europea” come Svizzera e Regno Unito) sono limitati dal GDPR entrato in vigore nel 2016, che ridimensiona fortemente l’impatto delle modifiche rispetto al resto del mondo.

I cambiamenti in Europa

Cosa cambierà dunque per la privacy degli utenti europei? Tecnicamente molto poco. Dopo il clamore suscitato dalle modifiche, WhatsApp ha pensato di chiarirle con un apposito spazio FAQ sul suo sito, affermando che:

• i contenuti delle chat (singole e di gruppo) sono e restano privati;
• i contatti con cui si interagisce non vengono registrati;
• le posizioni condivise non vengono rilevate né da Facebook né da WhatsApp;
• per una maggiore privacy esiste l’opzione “messaggi effimeri” che li rende non più visibili subito dopo l’invio;
• in qualsiasi momento è possibile scaricare e verificare i dati personali in possesso di WhatsApp.

Facebook e WhatsApp Business

In particolare, WhatsApp ha chiarito che l’interazione con Facebook riguarderà principalmente l’hosting della versione Business, ospitando quindi i dati delle aziende che lo richiedono nei più sicuri server di Facebook. Questo significa che interagendo col canale di un’azienda che ha scelto i server di Facebook i dati potrebbero essere immagazzinati da Facebook per finalità di marketing. Ad ogni modo, nelle FAQ si garantisce che i suddetti canali verranno chiaramente contrassegnati.

I cambiamenti nel resto del mondo

Questo per quanto riguarda l’Europa: diversa la questione negli Stati Uniti e in generale nei paesi extra-europei. Qui infatti le modifiche riguarderanno la condivisione di informazioni personali con le altre piattaforme del gruppo Facebook, in precedenza facoltativa e resa obbligatoria proprio con questo aggiornamento. Si parla in questo caso di informazioni di carattere commerciale, mentre in Europa l’app potrà comunicare al gruppo Facebook solo informazioni di carattere tecnico, necessarie al mantenimento e al miglioramento dell’infrastruttura.

Contenuti protetti

Occorre in ogni caso ricordare nuovamente che WhatsApp non può accedere ai contenuti delle conversazioni, in nessuna parte del mondo. Questo perché le conversazioni sono protette da crittografia “end-to-end” (la stessa peraltro usata da Signal), che impedisce al provider di avere accesso alle comunicazioni (in chiaro solo per mittente e destinatario). I dati di cui si è parlato finora sono quindi di altro tipo: ad esempio nomi, foto profilo, rete dei contatti e dati tecnici sul dispositivo in uso.

Realtà virtuale.

Siamo abituati a considerare la realtà virtuale come fonte di intrattenimento, principalmente per quanto riguarda film e (soprattutto) videogiochi. Ma cosa succederebbe se la stessa tecnologia fosse applicata nell’ambito lavorativo, al fine di migliorare la produttività?

Oculus Quest 2.

Una sfida interessante, prontamente raccolta da Facebook, Logitech e Oculus. Il colosso di Mark Zuckerberg rilascerà infatti il visore Oculus Quest 2 il prossimo 13 ottobre, con l’intenzione di non riservarlo al solo gaming.

Infinite Office.

Entro l’inverno è infatti previsto l’arrivo di Infinite Office, un sistema che consentirà all’utente finale di lavorare con multipli display virtuali, consentendo al lavoratore di migliorare la propria produttività a prescindere dallo spazio fisico disponibile.

Tastiera.

La partnership con Logitech ha inoltre portato alla tastiera Infinite Office, periferica (fisica) compatibile con Oculus Quest 2 e in grado di venire incontro alla necessità di digitare contenuti senza vedere le proprie mani.

Esperimento.

Facebook stessa invita alla cautela riguardo ad Infinite Office, etichettandolo come “esperimento”. Se l’esperimento andasse bene, tuttavia, potrebbe trattarsi di un primo passo verso una virtualizzazione degli spazi di lavoro.